Do Not Track

DNT est né en 2009 d’une proposition de chercheurs en protection de la vie privée, adoptée par Firefox en 2011, puis par tous les grands navigateurs. L’utilisateur qui l’activait voyait l’en-tête DNT: 1 envoyé avec chaque requête. Le groupe de travail Tracking Protection du W3C a tenté pendant des années de s’accorder sur ce qu’un site devait faire en recevant cet en-tête, et a fermé en janvier 2019 sans norme acceptée par l’industrie. Comme aucune loi n’en imposait le respect, les régies publicitaires et la plupart des sites l’ont simplement ignoré, et le CalOPPA californien exigeait seulement que les sites indiquent dans leur politique de confidentialité s’ils le respectaient.

Les navigateurs l’ont depuis abandonné. Mozilla a retiré le réglage de Firefox dans la version 135 (février 2025), en expliquant que peu de sites le respectaient et qu’il pouvait servir d’attribut de fingerprinting, et a orienté les utilisateurs vers le réglage « Tell websites not to sell or share my data » (demander aux sites de ne pas vendre ni partager mes données), qui envoie Global Privacy Control à la place. Apple avait retiré DNT de Safari en 2019 pour la même raison de fingerprinting.

La différence entre les deux signaux est juridique, pas technique. GPC transporte le même type de message d’un bit, mais la Californie, le Colorado, le Connecticut et une liste croissante d’États américains obligent les entreprises à le traiter comme une opposition valable à la vente et au partage de données personnelles : l’ignorer est donc une infraction. Un outil de consentement lit par conséquent GPC et peut ignorer sans risque un en-tête DNT que quelques navigateurs anciens envoient encore.